پولی مارکیٹ نے چار ماہ میں دوسرا ملین ڈالر کا سیکورٹی بریچ برداشت کیا

پولی مارکیٹ نے ایک م compromised تیسری پارٹی فراہم کنندہ کی وجہ سے بین الاقوامی پیش گوئی مارکیٹ کو متاثر کرنے کے بعد 29 اکتوبر کو ٹریڈنگ دوبارہ شروع کر دی۔ اس واقعہ نے چار ماہ میں پولی مارکیٹ کا دوسرا ملین ڈالر کا سیکورٹی بریچ درج کیا۔ پولی مارکیٹ کے آفیشل واقعہ لاگ میں ٹریڈنگ پابندیوں کا آغاز 18:05 UTC اور حل 19:05 UTC کے درمیان درج ہے۔ پولی مارکیٹ نے کہا کہ مسئلہ حل ہو چکا ہے اور قانون نافذ کرنے والے اداروں کو آگاہ کر دیا گیا ہے۔ پولی مارکیٹ نے متاثرہ صارفین کے لیے مکمل معاوضہ کا بھی وعدہ کیا ہے۔

بلاب میپس، ایک بلاک چین تجزیاتی فرم، نے اندازہ لگایا کہ 29 اکتوبر کے حملے سے 700 سے زیادہ پولی مارکیٹ صارفین متاثر ہوئے اور تقریباً 3.46 ملین امریکی ڈالر کے اثاثے متاثر ہوئے۔ حملہ آوروں نے تقریباً 2.7 ملین امریکی ڈالر کا تبادلہ POL کے لیے کیا اور فنڈز نکال دیے۔ جب جائزہ لیا گیا تو پولی مارکیٹ پر اور 750,000 امریکی ڈالر باقی تھے۔

25 جون کو Polymarket نے اعلاح کیا کہ ایک متاثرہ فراہم کنندہ نے ایک مضر اسکرپٹ کے انjecion کو سرگرم کر دیا تھا۔ Polymarket نے کہا کہ متاثرہ ڈیپینڈنسی کو ختم کر دیا گیا ہے اور مکمل ریفند کا وعدہ کیا گیا ہے۔ Source Defense نے جون کے حملے سے تقریباً 3 ملین امریکی ڈالر کے نقصان کی رپورٹ کی۔ Source Defense نے یہ پتہ لگایا کہ ڈیلیوری ایک مارکیٹنگ ٹیگ تک پہنچی جس نے ایک باہری شناخت لائبریری حاصل کی، جسے حملہ آور نے Polymarket کے لیے ڈرینر سے تبدیل کر دیا۔ Source Defense کے تحقیقی ماہرین نے کہا کہ جون کا پیلڈ وہ والٹس کو ٹارگٹ کرتا تھا جن میں 100,000 امریکی ڈالر سے زائد رقم موجود تھی اور بار بار ڈیجیٹل اجازت کا تقاضا کرتا تھا۔ ایک منظور شدہ اجازت Polymarket کے ریلیر سے گزری، جو دستخط شدہ ایکشنز جمع کرتا ہے۔

ہڈسن راک کے اکتوبر کے تجزیہ میں ایک کوڈ کا ذکر تھا جو DebugBear سے منسلک ایک URL سے حاصل کیا گیا تھا، جو لاگ ان سیشن کے اندر فعال ٹریڈنگ کلائنٹ اور سائنر تلاش کرتا تھا۔ سائنر وہ کمپوننٹ ہے جو کرپٹوگرافک اجازت کا درخواست دیتا ہے۔ ہڈسن راک نے پایا کہ اس اسکرپٹ کا پروگرام شدہ رویہ اکاؤنٹ کے قسم کے لحاظ سے مختلف تھا۔ ایک شاخ نے پوزیشن ٹوکنز کے ٹرانسفر کی درخواست کی؛ دوسری شاخ نے فروخت کے بعد منافع کے ٹرانسفر کی درخواست کی۔ ہڈسن راک نے پیداواری بِلڈ میٹا ڈیٹا بھی شناخت کیا جس میں DebugBear مانیٹرنگ اسکرپٹ کو ختم کرنے کا ذکر تھا۔ تاہم، ہڈسن راک کا سٹیٹک تجزیہ ثابت نہیں کر سکا کہ کوڈ نے عمل میں آیا، خاموشی سے دستخط حاصل کیے یا پرائیویٹ کلوز چوری کیے۔ تجزیہ نے متاثرین سے وصول کنندگان تک مکمل راستہ بھی قائم نہیں کیا۔ ختم کرنے والے میٹا ڈیٹا سے یہ واضح نہیں ہوتا کہ صارفین کی نمائندگی بالکل کب ختم ہوئی۔

جون کا مارکیٹنگ ڈیپینڈنس اور اکتوبر کا مانیٹرنگ سے متعلق اسکرپٹ، فنانشل طور پر حساس انٹرفیس تک مختلف راستے فراہم کرتے ہیں۔ جون کے میکنزم کے مطابق، منظور شدہ ادارتی اجازت ناموں پر منحصر تھا، جبکہ اکتوبر کے کوڈ نے ٹریڈنگ ٹولز کی درخواست کی اور دستخطوں کی اجازت مانگی۔ صرف ایک متاثرہ سپلائر کو تبدیل کرنا ویب سائٹ کے اندر فنانشل فنکشنز تک مائلس کوڈ کے پہنچنے کے وسیع مسئلے کا حل نہیں ہے۔ دہرائے جانے والے حملوں سے سوال اٹھتا ہے کہ باہری کوڈ ٹریڈر کے براؤزر کے ذریعے فنانشل اتھارٹی تک کس حد تک پہنچ سکتا ہے۔

MDN کی براؤزر ڈاکیومنٹیشن کہتی ہے کہ ایک تیسری پارٹی کا اسکرپٹ جو براہ راست صفحے میں لوڈ کیا جائے، وہ اس صفحے پر دیگر اسکرپٹس اور ڈیٹا تک پہنچ سکتا ہے۔ MDN یہ بھی واضح کرتی ہے کہ اسکرپٹ کو کہیں اور ہوسٹ کرنا اس تک رسائی کو ختم نہیں کرتا، جبکہ الگ فریم میں کراس-آرگن کنٹینٹ کا الگ سیکورٹی باؤنڈری ہوتا ہے۔ باہری کوڈ کو کم کرنا، سائنچر ریکسٹس کو محدود کرنا اور ڈاؤن لوڈ کیے گئے فائلز کی جانچ پڑتال حملے کے مختلف مراحل کو حل کرتی ہے۔ ٹریڈنگ اور سائننگ صفحات سے غیر ضروری انٹیگریشنز کو ختم کرنا ان ماحولات میں داخل ہونے والے باہری کوڈ کو کم کرتا ہے۔ سائنر کی رسائی کا جائزہ لینا اور ان اقدامات کی شناخت جن کے لیے نئی صارف تصدیق درکار ہے، اس بات کو محدود کرتا ہے کہ اسکرپٹ حصول کے بعد کون سے ریکسٹس کر سکتا ہے۔

ساببریسور انٹیگرٹی براؤزر کو ڈاؤن لوڈ کیے گئے اسکرپٹس کو توقع کیے گئے کرپٹوگرافک فنگر پرنٹ کے ساتھ چیک کرنے اور تبدیل شدہ فائلز کو مسترد کرنے کی اجازت دیتی ہے۔ ساببریسور انٹیگرٹی ایک قابلِ پن کی گئی وسائل کو بھی محفوظ رکھ سکتی ہے جو ایک موثق ڈومین پر میزبان ہو۔ اس سے متعلق ایک تفصیلی پوسٹ مارٹم جس میں ایکسپوژر کا دور، متاثرہ اکاؤنٹس اور ادارتی راستوں کا جائزہ لیا گیا ہو، باقی خطرے کا جائزہ لینے میں مدد کرے گا۔ کیا کوئی اور متاثرہ انٹیگریشن ٹریڈنگ انٹرفیس تک رسائی کو قابلِ استعمال مالی اجازت میں تبدیل کر سکتی ہے، ابھی حل نہیں ہوا۔